Beaucoup d’organisations associent encore le risque RGPD à une sanction de la CNIL. Un arrêt récent déplace la question sur un autre terrain : en cas de contentieux, votre organisation saurait-elle expliquer pourquoi une donnée a été collectée, consultée, conservée ou utilisée comme preuve, parfois plusieurs années après les faits ? C’est le RGPD et droit à la preuve.
L’essentiel en 30 secondes
|
Ce que l’arrêt du 24 juin 2026 révèle pour les organisations
L’affaire concerne un salarié licencié qui contestait son licenciement devant la juridiction prud’homale. Pour justifier sa décision, l’employeur avait produit des éléments permettant d’identifier le salarié. Ces éléments provenaient d’un traitement de données personnelles jugé contraire au RGPD.
La cour d’appel de Paris avait admis la recevabilité de ces preuves, en raison de leur caractère indispensable et proportionné. Elle avait toutefois considéré que la violation du RGPD causait nécessairement un préjudice au salarié, et avait condamné l’employeur à lui verser 5 000 euros.
La Cour de cassation censure ce second raisonnement. En s’appuyant sur l’article 82 du RGPD et sur la jurisprudence de la CJUE, elle rappelle qu’une violation du RGPD n’ouvre pas, à elle seule, droit à réparation. La personne concernée doit démontrer un dommage matériel ou moral concret.
Pour les organisations, l’arrêt ne se limite donc pas à la question de l’indemnisation. Il rappelle qu’en contentieux, il faut aussi pouvoir expliquer pourquoi une donnée a été utilisée, qui y a eu accès, quelles décisions ont été prises et quelles preuves permettent aujourd’hui de le démontrer.
La gouvernance de la preuve commence à cet endroit.
La gouvernance de la preuve
Lorsqu’un litige survient, les questions changent. La conformité documentaire répond à une première série de questions : base légale, registre, information des personnes, durée de conservation.
Mais devant un juge, d’autres éléments deviennent décisifs :
- pourquoi cette donnée a-t-elle été utilisée ?
- qui y avait accès, et depuis quand ?
- qui a décidé de la produire ?
- existe-t-il des logs permettant de le retracer ?
- cette utilisation était-elle nécessaire et proportionnée ?
Ce sont précisément les critères retenus dans cette affaire pour admettre la preuve : caractère indispensable et proportionnalité à l’objectif poursuivi. Ces notions supposent une décision documentée, pas seulement une pratique tolérée.
Un registre bien tenu peut coexister avec une incapacité à expliquer, deux ans plus tard, pourquoi tel accès a été autorisé ou pourquoi telle donnée a fini par constituer une preuve. C’est cette seconde couche qui reste souvent la moins travaillée : les accès, les traces, les arbitrages et leur justification.
Quatre angles morts à vérifier
Cette décision met en lumière quatre zones souvent moins documentées que le registre de traitements.
- Les journaux d’accès. Les accès sont-ils tracés de manière exploitable : qui a consulté quoi, quand, et dans quel contexte ? Sans log, l’organisation dispose de peu d’éléments pour expliquer ou défendre un usage.
- Les habilitations. Qui pouvait consulter la donnée, et sur quel fondement ? Des habilitations larges ou rarement revues compliquent la démonstration du caractère nécessaire d’un accès.
- Les exports et les usages. Peut-on expliquer comment une donnée est passée d’un système interne à un dossier de preuve ? Ce chemin est rarement documenté.
- Les arbitrages. Existe-t-il une trace de la décision ayant conduit à utiliser la donnée comme preuve ? C’est souvent le point le plus fragile : la décision existe, mais elle n’a pas été formalisée.
| GRILLE D’AUTO-DIAGNOSTIC Votre gouvernance de la preuve : où en êtes-vous ? Quelques questions simples suffisent à évaluer votre niveau de préparation. Cochez une réponse par ligne, pour chaque donnée sensible susceptible d’être produite en contentieux. |
| Question à documenter pour RGPD et droit à la preuve | Oui | Non | À vérifier |
|---|---|---|---|
| Qui a consulté la donnée ? | |||
| Quand la donnée a-t-elle été consultée ? | |||
| Pourquoi cette donnée a-t-elle été utilisée ? | |||
| Avec quelle habilitation l’accès a-t-il eu lieu ? | |||
| Existe-t-il un log exploitable ? | |||
| L’usage était-il nécessaire et proportionné ? |
Comment lire vos réponses
|
Cinq actions pour renforcer la gouvernance du RGPD et droit à la preuve
À la lumière de cette décision, cinq actions peuvent être engagées rapidement :
- Identifier les données susceptibles d’être utilisées comme preuve : RH, contrôle d’accès, logs, solutions SaaS, systèmes d’IA, etc.
- Documenter les arbitrages au moment où ils sont pris. Une décision non tracée devient difficile à justifier plusieurs mois ou années plus tard.
- Vérifier la conservation réelle des logs et leur capacité à être exploités en cas de contentieux.
- Intégrer la gouvernance de la preuve dans les AIPD et les analyses de risques des traitements les plus sensibles.
- Décloisonner les approches en associant les équipes RGPD, RH, sécurité, IT et gouvernance documentaire.
Cette décision rappelle que la conformité ne repose pas uniquement sur des documents. Elle dépend aussi de la capacité de l’organisation à produire des traces, à expliquer ses décisions et à démontrer la proportionnalité de ses choix.
| PASSEZ DE LA THÉORIE À LA PREUVE Audit flash offert : 30 minutes, sans engagement |
| Vous vous demandez où se situent vos angles morts ? DPO Partage situe avec vous votre gouvernance de la preuve et identifie vos priorités. Utile avant votre prochaine échéance de contentieux ou votre prochaine AIPD. Ce que vous obtenez :
|
RGPD et droit à la preuve , vers une conformité démontrable
L’arrêt du 24 juin 2026 ne réduit pas les obligations du RGPD. Il rappelle qu’une organisation ne doit pas seulement démontrer qu’un traitement est conforme. Elle doit aussi être en mesure d’expliquer, plusieurs mois ou plusieurs années après les faits, pourquoi une donnée a été consultée, utilisée ou produite dans le cadre d’un contentieux.
La conformité ne se joue donc plus uniquement dans les registres, les politiques ou les procédures. Elle se joue aussi dans la qualité des traces conservées, des décisions documentées et de la gouvernance mise en place autour de la preuve.
À mesure que les organisations déploient des architectures distribuées, des services SaaS et des systèmes d’IA, cette capacité à relier conformité, traçabilité et preuve deviendra un élément central de la gouvernance des données.
